Телефонний «дзвінок із банку»: чому схема масова і що реально змінили правила

Типова схема починається з того, що шахраю вже відомі ім'я клієнта, назва банку, іноді останні операції або залишок на рахунку. Такі дані рідко добуваються зламом самого банку. Вони надходять із витоків у торговельних мережах, сервісах доставки, онлайн-анкетах, старих фішингових розсилках і ринку персональних даних, де один запис коштує копійки. Далі працює соціальна інженерія: створюється відчуття терміновості («картку заблокують за 15 хвилин»), а жертву переконують назвати код із СМС або CVV. Головна вразливість тут не в технологіях банку, а в тому, що клієнта можна переконати самому відкрити двері.

Масовість забезпечує дешевизна інструментів. Телефонію через інтернет-протокол можна запустити без великих витрат, а підміна номера дозволяє показати на екрані ідентифікатор, схожий на офіційний номер банку. Гроші зазвичай виводяться через рахунки-«мули» та миттєві переведення, тож до моменту заяви в поліцію кошти часто вже розчинені. Окремий чинник — нерівний рівень цифрової грамотності. Найуразливіші групи, зокрема літні люди і ті, хто лише нещодавно почав користуватися застосунками банку, найчастіше не знають простих правил, а загальні попередження на кшталт «будьте обережні» на практиці мало що змінюють.

У ланцюжку відповідальності є кілька учасників, і кожен пояснює свою частку. Банки відповідають за ідентифікацію клієнта, моніторинг підозрілих операцій і за те, як саме підтверджується переказ. Оператори зв'язку мають технічну можливість фільтрувати підмінені номери та виявляти SIM-бокси, але рівень такої фільтрації та прозорість звітності різняться. Регулятор і правоохоронці відповідають за розслідування, яке через транскордонність і швидкий рух коштів часто завершується ні з чим. Спірним лишається питання, хто платить за збиток: за чинними правилами про платіжні послуги багато залежить від того, чи порушив клієнт безпечні процедури, а це питання вирішується з різними результатами в різних справах.

Що реально змінюють нові правила верифікації, а що лишається декларацією? Реальною зміною є обов'язкова посилена автентифікація для ризикових операцій, підтвердження в застосунку з показом суми та отримувача, а також обмеження для щойно доданих одержувачів і нових пристроїв. Такі механізми змінюють саму можливість шахрая вивести гроші, а не лише інформування клієнта. Декларативними залишаються обіцянки на кшталт «банк ніколи не телефонує» без технічного підкріплення, кампанії з порадами без вимірюваного результату і заяви про блокування підмінених номерів, якщо немає звітності про кількість заблокованих дзвінків. Є й проміжна категорія: одноразовий код із СМС формально захищає операцію, але його можна виманити в розмові, тому реальний захист дає лише прив'язка підтвердження до конкретних деталей переказу.

Висновок простий: це системна проблема, і її не розв'яже ані лише освіта клієнтів, ані лише технічні фільтри. Ефективний захист потребує спільних вимог до банків і операторів, публічної звітності про блоковані дзвінки та шахрайські рахунки і чіткого розподілу відповідальності, який не перекладає збитки на жертву за замовчуванням. Офіційної статистики в цьому огляді ми не наводимо, бо дані розпорошені між банками, правоохоронцями та операторами, і будь-які цифри потребують окремої перевірки.

Що робити вже зараз: якщо зателефонували «з банку» і просять код або оновити дані, завершіть розмову і самостійно передзвоніть на номер, надрукований на звороті картки або в застосунку. Жоден легітимний співробітник не має права вимагати CVV чи одноразовий код із СМС. Підозрілу операцію варто одразу блокувати через застосунок або гарячу лінію банку, а потім подати заяву в кіберполіцію, бо швидкість реакції іноді вирішує, чи вдасться повернути кошти.